CVE-2025-29635highbajo ataqueCWE-77

CVE-2025-29635

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear DIR-823X

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

88Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 7.2epss 88%
de la publicación al arma
Publicada en NVD25 mar
CISA KEV+395d
Acción exigida por CISAplazo federal: 2026-05-08

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

En resumen

Un usuario autorizado puede ejecutar comandos arbitrarios en routers D-Link DIR-823X mediante una solicitud especialmente diseñada, permitiendo potencialmente tomar control total del dispositivo.

Detalle técnico

Vulnerabilidad de inyección de comandos en el endpoint POST /goform/set_prohibiting permite que atacantes autenticados inyecten comandos del sistema operativo a través de parámetros de entrada no sanitizados. La falla afecta las versiones 240126 y 240802 de D-Link DIR-823X, resultando en ejecución remota de código con privilegios del dispositivo.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

A command injection vulnerability in D-Link DIR-823X 240126 and 240802 allows an authorized attacker to execute arbitrary commands on remote devices by sending a POST request to /goform/set_prohibiting via the corresponding function, triggering remote command execution.
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
Productos afectados
n/a · n/a